これの続きを行います。
RAG環境を作ります。
前提条件
- 源内Web環境が既にデプロイ済みであること
- AWS CLIとCDKがインストール済みであること
- 以下のサービスのクォータ制限を確認済みであること:
- Amazon Bedrock
- OpenSearch Serverless
- Lambda
- 必要な権限:
- AdministratorAccess相当の権限を持つIAMユーザー
公式リポジトリ
参考サイト
環境構築
初期設定
源内Webはデプロイしておきます。
前回の設定で問題ありません。源内WebでデプロイされるNat GatewayのEIPをRAG環境デプロイで使用します。
root@ubuntu-cui:~# cd genai-web/
root@ubuntu-cui:~/genai-web# npm -w packages/cdk run cdk -- deploy --all --require-approval never -c env=-selfHostingDev
AWSアカウントのユーザにRoleを付与します。
カスタム信頼ポリシーでロールを作成します。RoleのJSONは以下となります。cli-userは源内Webをデプロイする際にaws configureで登録したユーザに置き換えてください。
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::535002847634:user/cli-user"
},
"Action": "sts:AssumeRole"
}
]
}
AdministratorAccessポリシーをアタッチします。
Roleの名前はgenai-deploy-roleとしました。
これをIAMユーザに紐づけます。
ユーザの許可タブからインラインポリシーを作成を押下します。
JSON形式に変更して以下のように入力します。
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "sts:AssumeRole",
"Resource": "arn:aws:iam::535002847634:role/genai-deploy-role"
}
]
}
cli-user-genai-deploy-policyという名前で保存します。
ユーザに紐づいたことを確認します。
以下のような設定になるように、ファイルを追記します。
root@ubuntu-cui:~# ls -la .aws/
total 16
drwxr-xr-x 2 root root 4096 May 12 15:31 .
drwx------ 12 root root 4096 May 19 12:08 ..
-rw------- 1 root root 34 May 19 12:15 config
-rw------- 1 root root 116 May 19 12:15 credentials
root@ubuntu-cui:~# cat .aws/credentials
[default]
aws_access_key_id = {アクセスキー}
aws_secret_access_key = {シークレットアクセスキー}
root@ubuntu-cui:~# cat .aws/config
[default]
region = ap-northeast-1
output = json
[profile genai-deploy]
role_arn = arn:aws:iam::535002847634:role/genai-deploy-role
source_profile = default
root@ubuntu-cui:~# aws sts get-caller-identity --profile genai-deploy
{
"UserId": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
"Account": "535002847634",
"Arn": "arn:aws:sts::535002847634:assumed-role/genai-deploy-role/xxxxxxxxxxxxxxxxxxxxxxxx"
}
aws cli,cdkの他にpython3とpip3がインストールされている必要があるので、必要に応じてインストールしておきます。
root@ubuntu-cui:~# python3 -V
Python 3.12.3
root@ubuntu-cui:~# pip3 -V
pip 24.0 from /usr/lib/python3/dist-packages/pip (python 3.12)
リポジトリをクローンします。
その後、リポジトリのルートディレクトリに移動して、npm ciコマンドを実行します。
root@ubuntu-cui:~# git clone https://github.com/digital-go-jp/genai-ai-api
root@ubuntu-cui:~# ls -ltr
total 12
drwxr-xr-x 9 root root 4096 May 12 15:29 genai-web
drwxr-xr-x 7 root root 4096 May 17 10:07 ndlocr-lite-app
drwxr-xr-x 8 root root 4096 May 19 12:08 genai-ai-api
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# npm ci
設定ファイルの更新
更新すべきファイルは4つです
①genai-ai-api/aws/query-expansion-rag/config/apps/qerag.toml
②genai-ai-api/aws/query-expansion-rag/parameter.ts
③genai-ai-api/aws/query-expansion-rag/cdk.json
④genai-ai-api/aws/query-expansion-rag/lib/switch-role-stack.ts
genai-ai-api/aws/query-expansion-rag/config/apps/qerag.toml
root@ubuntu-cui:~# cd genai-ai-api/aws/query-expansion-rag/config/apps/
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag/config/apps# ls
qerag.toml
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag/config/apps# cp -p qerag.toml qerag.toml.org
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag/config/apps# nano qerag.toml
修正箇所は以下。nameは基本なんでも問題ないと思いますが、長いと長いでエラーが出ます。
※Opensearch Serverlessの制限でエラーが出てた気がします。
# アプリケーション基本情報
name = "genai-rag"
# こっちは変えなくてもいいけど検証環境は変えている
# 回答生成の設定（デフォルトから変更する項目のみ）
[answer_generation]
modelId = "jp.amazon.nova-2-lite-v1:0"
diff結果
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag/config/apps# diff qerag.toml qerag.toml.org
2c2
< name = "genai-rag"
---
> name = "Query Expansion RAG"
15c15
< modelId = "jp.amazon.nova-2-lite-v1:0"
---
> # modelId = "jp.anthropic.claude-sonnet-4-5-20250929-v1:0"
②genai-ai-api/aws/query-expansion-rag/parameter.ts
①で指定したnameに合わせて修正していきます。
また、源内Webでデプロイした時に作成されたNat GatewayのEIP(プライマリパブリックIPv4)をここで使用します。
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag/config/apps# cd ../..
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# ls
assets cdk.json jest.config.ts package-lock.json README.md tsconfig.json
bin config lib parameter.ts test
cdk.context.json custom-resources package.json README.en.md tools
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# cp -p parameter.ts parameter.ts.org
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# nano parameter.ts
修正箇所は以下です。ここのappNameの設定を①に合わせます。
"-dev": {
"qeRagAppNames": [
{"appName": "genai-rag", "appParamFile": "qerag.toml"}
],
// genai-webをデプロイした時に自動生成されるNATゲートウェイのパブリックIP（EIP）を指定
// 許可する送信元 IPv4 アドレス範囲を指定してください
allowedIpV4AddressRanges: [
"54.248.151.38/32", // TODO: Replace with your actual source IP address ranges
"52.68.33.49/32"
],
diff結果
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# diff parameter.ts parameter.ts.org
19,21c19,21
< "qeRagAppNames": [
< {"appName": "genai-rag", "appParamFile": "qerag.toml"}
< ],
---
> // "qeRagAppNames": [
> // {"appName": "qerag", "appParamFile": "qerag.toml"}
> // ],
28,29c28
< "54.248.151.38/32", // TODO: Replace with your actual source IP address ranges
< "52.68.33.498/32"
---
> "0.0.0.0/0", // TODO: Replace with your actual source IP address ranges
③genai-ai-api/aws/query-expansion-rag/cdk.json
switchRoleがDummyなので、デプロイに使用しているユーザを指定します。
apiについてはデフォルトがquota制限解除しないと達成できない値180秒となっているためquota制限内のものに修正します。今回は29秒に設定しています。
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# ls
assets cdk.json jest.config.ts package-lock.json README.en.md tools
bin config lib parameter.ts README.md tsconfig.json
cdk.context.json custom-resources package.json parameter.ts.org test
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# cp -p cdk.json cdk.json.org
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# nano cdk.json
以下のように修正します。
"switchRoleName": "arn:aws:iam::535002847634:user/cli-user",
"apiLambdaIntegrationTimeout": 29,
diff結果は以下です。
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# diff cdk.json cdk.json.org
34,35c34,35
< "switchRoleName": "arn:aws:iam::535002847634:user/cli-user",
< "apiLambdaIntegrationTimeout": 29,
---
> "switchRoleName": "DummyRole",
> "apiLambdaIntegrationTimeout": 180,
④genai-ai-api/aws/query-expansion-rag/lib/switch-role-stack.ts
デフォルトの設定だとSSO環境前提らしく？その設定を解除してSSO環境じゃなくてもデプロイできるようにします。
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# cd lib/
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag/lib# ls
api-waf-stack.ts rag-knowledge-base-stack.test.ts rag-s3vectors-kb-stack.ts switch-role-stack.ts
config-types.ts rag-knowledge-base-stack.ts shared-cmek-stack.ts utils
constructs rag-lambda-api-stack.ts stack-input.ts
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag/lib# cp -p switch-role-stack.ts switch-role-stack.ts.org
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag/lib# nano switch-role-stack.ts
switch-role-stack.tsの中身を以下とします。
import { CfnOutput, Stack, StackProps } from 'aws-cdk-lib';
import * as iam from 'aws-cdk-lib/aws-iam';
import { NagSuppressions } from 'cdk-nag';
import { Construct } from 'constructs';
/**
* Properties for SwitchRoleForBedrockFlowsDeveloperStack
*/
interface SwitchRoleForBedrockFlowsDeveloperStackProps extends StackProps {
/** IAM Identity Center user names allowed to assume this role */
readonly idcUserNames: string[];
/** SSO role name or IAM ARN that can assume this role */
readonly switchRoleName: string;
/** Application name identifier */
readonly appName: string;
}
/**
* Stack for creating a switch role with minimal permissions for
* Bedrock Flow development, data source uploads, and Knowledge Base sync.
*
* 修正内容：
* - switchRoleName が "arn:aws:iam" で始まる場合は SSO パスを組み立てず
* ARN をそのまま Principal に使用する
* - SSO 未使用環境では withConditions（aws:userid）も付与しない
*/
export class SwitchRoleForBedrockFlowsDeveloperStack extends Stack {
/** The created IAM role for switching */
public readonly switchRole: iam.Role;
constructor(
scope: Construct,
id: string,
props: SwitchRoleForBedrockFlowsDeveloperStackProps
) {
super(scope, id, props);
const awsAccount = Stack.of(this).account;
const awsRegion = Stack.of(this).region;
// ✅ 修正：ARN判定の分岐
// switchRoleName が "arn:aws:iam" で始まる場合はそのまま使用
// それ以外は SSO ロールパスを組み立てる
const isDirectArn = props.switchRoleName.startsWith('arn:aws:iam');
const principalArn = isDirectArn
? props.switchRoleName
: `arn:aws:iam::${awsAccount}:role/aws-reserved/sso.amazonaws.com/${awsRegion}/${props.switchRoleName}`;
// ✅ 修正：SSO未使用時は withConditions を付与しない
// IAMユーザーARNを直接指定する場合、aws:userid 条件は不要
const assumeRolePrincipal = isDirectArn
? new iam.ArnPrincipal(principalArn)
: new iam.ArnPrincipal(principalArn).withConditions({
StringLike: {
'aws:userid': props.idcUserNames.map((user) => `*:${user}`),
},
});
// Define Bedrock permissions policy
const bedrockPolicy = this.createBedrockPolicy(awsRegion);
// Create the switch role
const developerRole = new iam.Role(this, 'SwitchRoleForBedrockFlowsDeveloper', {
assumedBy: assumeRolePrincipal,
managedPolicies: [
iam.ManagedPolicy.fromAwsManagedPolicyName('CloudWatchLogsReadOnlyAccess'),
],
inlinePolicies: {
BedrockBasePolicy: bedrockPolicy,
},
});
this.switchRole = developerRole;
// Output role name
new CfnOutput(this, 'SwitchRoleName', {
value: developerRole.roleName,
});
// Apply CDK-NAG suppressions
this.applyNagSuppressions(developerRole);
}
/**
* Create Bedrock policy with foundation model and listing permissions
*/
private createBedrockPolicy(region: string): iam.PolicyDocument {
return new iam.PolicyDocument({
statements: [
// Foundation model invocation
new iam.PolicyStatement({
actions: [
'bedrock:GetFoundationModel',
'bedrock:GetFoundationModelAvailability',
'bedrock:InvokeModel',
'bedrock:InvokeModelWithResponseStream',
],
resources: [`arn:aws:bedrock:${region}::foundation-model/*`],
}),
// Listing operations (require * resource)
new iam.PolicyStatement({
actions: [
'bedrock:ListFoundationModels',
'bedrock:ListIngestionJobs',
'bedrock:ListInferenceProfiles',
'bedrock:ListMarketplaceModelEndpoints',
'bedrock:ListProvisionedModelThroughputs',
],
resources: ['*'],
}),
// SageMaker hub access
new iam.PolicyStatement({
actions: ['sagemaker:ListHubContents'],
resources: [`arn:aws:sagemaker:${region}:aws:hub/SageMakerPublicHub`],
}),
],
});
}
/**
* Apply CDK-NAG suppressions for required permissions
*/
private applyNagSuppressions(role: iam.Role): void {
NagSuppressions.addResourceSuppressions(
role,
[
{
id: 'AwsSolutions-IAM4',
reason: 'CloudWatchLogsReadOnlyAccess managed policy is required for log viewing',
},
{
id: 'AwsSolutions-IAM5',
reason: 'Wildcard required for Bedrock List* operations, foundation model access, and KMS operations',
appliesTo: [
'Resource::*',
'Resource::arn:aws:bedrock:<AWS::Region>::foundation-model/*',
{ regex: '/^Resource::arn:aws:bedrock:.+::foundation-model\\/\\*$/g' },
'Action::kms:GenerateDataKey*',
'Action::kms:ReEncrypt*',
],
},
],
true
);
}
}
diffの結果です。
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag/lib# diff switch-role-stack.ts switch-role-stack.ts.org
12c12
< /** SSO role name or IAM ARN that can assume this role */
---
> /** SSO role name that can assume this role */
21,25d20
< *
< * 修正内容：
< * - switchRoleName が "arn:aws:iam" で始まる場合は SSO パスを組み立てず
< * ARN をそのまま Principal に使用する
< * - SSO 未使用環境では withConditions（aws:userid）も付与しない
41,58c36,43
< // ✅ 修正：ARN判定の分岐
< // switchRoleName が "arn:aws:iam" で始まる場合はそのまま使用
< // それ以外は SSO ロールパスを組み立てる
< const isDirectArn = props.switchRoleName.startsWith('arn:aws:iam');
<
< const principalArn = isDirectArn
< ? props.switchRoleName
< : `arn:aws:iam::${awsAccount}:role/aws-reserved/sso.amazonaws.com/${awsRegion}/${props.switchRoleName}`;
<
< // ✅ 修正：SSO未使用時は withConditions を付与しない
< // IAMユーザーARNを直接指定する場合、aws:userid 条件は不要
< const assumeRolePrincipal = isDirectArn
< ? new iam.ArnPrincipal(principalArn)
< : new iam.ArnPrincipal(principalArn).withConditions({
< StringLike: {
< 'aws:userid': props.idcUserNames.map((user) => `*:${user}`),
< },
< });
---
> // Build assume role principal with SSO conditions
> const assumeRolePrincipal = new iam.ArnPrincipal(
> `arn:aws:iam::${awsAccount}:role/aws-reserved/sso.amazonaws.com/${awsRegion}/${props.switchRoleName}`
> ).withConditions({
> StringLike: {
> 'aws:userid': props.idcUserNames.map((user) => `*:${user}`),
> },
> });
124a110,111
> // Suppress for the role resource and all child resources
> // Includes KMS wildcard actions that may be added by other stacks
137a125
> // Also match resolved region values for foundation model resources
デプロイ
以下のコマンドを実行します。デプロイに20分～30分位かかるかなと思います。
スタックが作成されます。
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# pwd
/root/genai-ai-api/aws/query-expansion-rag
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# npx cdk deploy --all -c env=-dev --require-approval never
✅ ApiWafStack
✨ Deployment time: 17.07s
✅ genai-rag-SwitchRoleStack
✨ Deployment time: 32.13s
✅ SharedCmekStack-dev
✨ Deployment time: 32.12s
✅ qerag-shared-1-SwitchRoleStack
✨ Deployment time: 47.47s
✅ genai-rag-qeRagKB
✨ Deployment time: 502.55s
✅ qerag-shared-1-qeRagKB
✨ Deployment time: 252.16s
✅ genai-rag-qeRagApi
✨ Deployment time: 93.59s
✅ qerag-shared-1-qeRagApi
✨ Deployment time: 93.55s
Outputs:
qerag-shared-1-qeRagApi.ApiEndpoint = https://sa4r5zwi2f.execute-api.ap-northeast-1.amazonaws.com/prod/invoke
qerag-shared-1-qeRagApi.ApiKeyId = 3m7oeotah8
qerag-shared-1-qeRagApi.SwitchRole = qerag-shared-1-SwitchRole-SwitchRoleForBedrockFlows-4Jtvb4yd9gBt
qerag-shared-1-qeRagApi.qeragshared1RagApiEndpoint371B1A7E = https://sa4r5zwi2f.execute-api.ap-northeast-1.amazonaws.com/prod/
CFnのスタックが作成されています。
今回はqerag-shared-1-qeRagApiというスタックを使用します。
出力タブを見ると、色々あると思います。ApiEndpointとApiKeyIdを控えます。
ApiKeyIdの値に対して以下のコマンドを実行します。
出力のvalueが必要になるので控えます。
aws apigateway get-api-key --api-key <KEY_ID> --include-value
例：
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# aws apigateway get-api-key --api-key 3m7oeotah8 --include-value
{
"id": "3m7oeotah8",
"value": "YCRqMDrmbN84UZurEOv273H2sPV24c8967pAVBBT",
"name": "qerag--qerag-4N1fZEhLbB0H",
"enabled": true,
"createdDate": "2026-05-19T13:33:49+00:00",
"lastUpdatedDate": "2026-05-19T13:33:49+00:00",
"stageKeys": [
"sa4r5zwi2f/prod"
],
"tags": {
"aws:cloudformation:logical-id": "qeragshared1RagApiqeragshared1RagApiKey6F2F1C28",
"aws:cloudformation:stack-id": "arn:aws:cloudformation:ap-northeast-1:535002847634:stack/qerag-shared-1-qeRagApi/358f2520-5387-11f1-ab18-0e011a4f37a5",
"aws:cloudformation:stack-name": "qerag-shared-1-qeRagApi"
}
}
源内Webにログインします。この時のユーザはSystemAdminGroupで入ります。
チーム管理から作成を実行します。
適当な名前でチームを作成します。
AIアプリの作成ボタンを押下します。
APIリクエストのデータ形式(JSON)は以下のように設定します。
またエンドポイントとキーはCFnの出力から得た内容を記載します。
{"question": {"type": "textarea", "title": "質問", "desc": "これは、源内RAGです。ドキュメントに関する質問を入力してください", "required": true}}
AIアプリを作成できました。
動作確認
実際にRAGを試してみます。S3にファイルを格納します。
Bedrockからナレッジベースを開きます。今回はsharedのを使っているのでそちらを開きます。
ソースリンクを押下します。
S3のバケットのdocsフォルダが開きます。ここにRAG用のファイルをアップロードします。
今回は育児休業等給付の内容と支給申請手続＜厚生労働省＞を使用します。
アップロードしました。
Bedrockのナレッジベースから同期を実行します。
源内WebからRAGを試してみます。
回答が返ってくればOKです。
削除手順
RAG環境は以下のコマンドを実行します。RAG環境だけではなく、Web側も削除しましょう。
このコマンド一発できれいさっぱり消えます。
root@ubuntu-cui:~/genai-ai-api/aws/query-expansion-rag# npx cdk destroy --all -c env=-dev --force